Настройка и проверка аутентификации в протоколе OSPF

Аутентификация – механизм, позволяющий удостоверить личность. В OSPF аутентификация используется для защиты сети от злоумышленников, рассылающих ложную маршрутную информацию с целью обмануть маршрутизаторы сети и получить возможность перехвата, анализа и модификации данных, либо просто нарушая работу сети. Аутентификация заключается в защите пересылаемой информации заранее внесенным паролем.

Когда аутентификация соседей корректно сконфигурирована, маршрутизатор проверяет подлинность отправителя каждого пакета, содержащего обновление маршрутной информации при помощи обмена ключами аутентификации (или паролями), известными всем участникам, но по умолчанию, маршрутизаторы не используют аутентификацию в OSPF.

OSPF поддерживает 2 типа аутентификации: открытым текстом и MD5 (Message Digest, не использует пароль в открытом виде). Механизм аутентификации с использованием MD5 добавляет в каждый пакет увеличивающийся номер последовательности, защищая тем самым участников обмена от атак, использующих повторную пересылку захваченных ранее пакетов.

---

• Цель - аутентификация маршрутной информации
  • Настраивает на интерфейсах
  • Маршрутизаторы принимают маршрутную информацию только от других маршрутизаторов, сконфигурированных с теми же параметрами аутентификации

Планирование аутентификации

• Следующие ключевые параметры должны быть детально определены перед настройкой аутентификации:
  • Режим аутентификации (простой пароль или MD5)
  • Один или несколько ключей для аутентификации (в соответствии с планом безопасности сети)
• Once defined, the following steps may be implemented:
  • Assign a password (key) to be used.
    • The actual command varies depending on the authentication mode used.
  • Specify the authentication mode (simple password or MD5).

Прежде чем настраивать аутентификацию в OSPF, сетевой администратор должен изучить существующую конфигурацию OSPF и определить требования для аутентификации. Требования должны содержать тип аутентификации (plain или MD5, или вовсе без аутентификации).

Настройка, проверка и решение проблем в аутентификации с простым паролем

(Configuring, Verifying, and Troubleshooting OSPF Simple Password Authentication)

Configuring OSPF Simple Password Authentication

Router(config-if)#ip ospf authentication-key пароль
Router(config-if)# ip ospf authentication [message-digest | null]

Пароль - строка до 8 байт длинной.

Первая команда назначает пароль для аутентификации соседей, доступных через текущий интерфейс. Пароль, указанный таким образом, будет в качестве ключа аутентификации внедрен в заголовок каждого уходящего в эту сеть пакета OSPF. Для каждого интерфейса можно назначить другой пароль, главное, чтобы все маршрутизаторы в сети, к которой подключен интерфейс, использовали этот же пароль для доступа к этой сети. Если пароль, настроенный на интерфейсе, и пароль в пришедшем пакете OSPF не совпадут – пакет будет проигнорирован. Также стоит учесть, что эффективная длина пароля – 8 символов, остальные не используются. При использовании IOS версий 12.4 и выше – о превышении длины будет сообщено.

Внимание! если не используется шифрование паролей (команда service password-encryption),
то пароли будут храниться в конфигурации маршрутизатора в отрытом, незашифрованном виде. 
Если пароли зашифрованы, то перед ключом указывается тип шифрования 7.

Вторая команда, будучи использована без необязательных параметров, просто включает аутентификацию на интерфейсе. Для корректной работы требует, чтобы ключ был предварительно настроен командой ip ospf authentication-key.

Для simple password аутентификации используйте команду ip ospf authentication без параметров. Перед использованием настройте пароль используя ip ospf authentication-key

Команда ip ospf authentication появилась в Cisco IOS начиная с версии 12.0. До этого использовалась аутентификация для области, задаваемая в контексте процесса OSPF. Для обратной совместимости, аутентификация для области поддерживается до сих пор. Она используется в том случае, если на интерфейсе не указан тип аутентификации OSPF.

Чтобы настроить аутентификацию для области, нужно перейти в режим настройки маршрутизации OSPF, и воспользоваться командой:

area area-id authentication [message-digest]